0x01 题设
HitCon2016中最简单的逆向题，题目只给出了一份源码：
1 | #!/usr/bin/env python |
0x02 write-up
这道最简单的题搞了我快一个下午，必须要写点什么…
可以将这段base64解码再解压缩后的数据流打印出来看下是什么东西，发现大部分为乱码有少量的python关键字，结合题目标题猜测是pyc文件，也就是compiled后的py字节码文件，于是找来几个工具来disassemble/decompile byte-code，比如uncompyle2, pycdc, pychrysanthemum…总之我就用过这几个tools。
f = open("crack.pyc", 'w')f.write(zlib.decompress(base64.b64decode(XXXXX)))
先用运行uncompyle2时，遇到“Unknown Magic Number”错误，根据这篇文章的提示，填充pyc文件头格式的八个Bytes：
1 | $ python |
这次再运行uncompyle2脚本，还是报错，是在反编译时遇到了问题：1
Syntax error at or near 'ROT_TWO' token at offset 36
不过已经显示出了反汇编所有代码，用pychrysanthemum这个图形化界面Disassembler看的更舒服些：
1 | + co_consts |
将这些值chr一下，发现并没有什么规律= =
之后，再查看下反汇编代码发现某些指令规律（大多为LOAD_GLOBAL、LOAD_CONST与CALL_FUNCTION循环），同时又查了下ROT_TWO()和BINARY操作:
ROT_TWO: swaps the two top-most stack items(From docs.python.org)
Binary operations remove the top of the stack(TOS) and the second top-most stack item(TOS1) from the stack. They perform the opreation, and put the result back on the stack.
BINARY_ADD Implements TOS = TOS1 + TOS
猜测这些指令的目的是用来对可能是多个字符串的每个字符进行混淆操作再一一进行比较。
后续我再具体用dis模块处理，分析下这个字节码文件所包含的各种信息。
于是我先把所有的反汇编的所有代码做下处理，保留下所有包含LOAD_CONST指令的代码行，再提取出每条指令调取的字符1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16import sys
import os
import re
file = open("disass")
while 1:
line = file.readline()
if not line:
break
if "LOAD_CONST" in line:
PAT = re.compile(r"(\d+): <type 'int'>")
pat = PAT.search(line)
if pat != None:
print pat.group(1)
#python solve.py > solve
得到下列字符串：
llaC em yP aht notriv lauhcamni !eac Ini npreterP tohty ntybdocese!!!ctihN{noy woc uoc naipmoa eldnur yP nnohttyb doceni euoy rb ria}!napwssro :dorWp gnssadrow…elP esa yrtaga .ni oD tonurbf etecro)= .
在中间部位可以发现8个有意思的字符：ctihN{no
如果以每四个字符进行翻转，便可以得到：hitcon{N
于是可以写一个脚本处理下：1
2
3
4
5
6
7
8string = "ctihN{noy woc uoc naipmoa eldnur yP nnohttyb doceni euoy rb ria}!napwssro :dorWp gnssadrow...elP esa yrtaga .ni oD tonurbf etecro)= "
i = 0
s = ""
while i < len(string):
sub = string[i:i+4]
s = s+sub[::-1]
i += 4
print s
得到
hitcon{Now you can compile arund Py honnbyttcod ineyoue br }airpan!rsswd: opWrosng rdas..woPle.se ry aagatin. Do unot fbrcete=)or
当时以为这就是Flag= =
发现后边是乱码，但是可以猜测出来：
hitcon{Now you can compile and run Python bytecode in your brain.}
未完待续…